Атака за словником — метод підбору паролів, за якого перебирають слова, популярні паролі й облікові дані з витоків із заздалегідь підготовленого списку, а не всі можливі комбінації символів.
Як працює атака за словником
Атака за словником — «розумніший» різновид брутфорсу. Замість перевіряти «aaaa», «aaab» і так далі, зловмисник бере словник (wordlist): звичайні слова, імена, клавіатурні послідовності й насамперед реальні паролі з попередніх витоків. Найвідоміший список, rockyou.txt, з’явився після зламу RockYou 2009 року, коли понад 32 мільйони паролів зберігалися у відкритому вигляді.
Атаки бувають двох видів:
- Онлайн — підбір через робочу форму входу, VPN або SSH (MITRE ATT&CK T1110.001). Це повільно й помітно, тому зловмисники часто вдаються до password spraying: кілька популярних паролів проти безлічі облікових записів.
- Офлайн — зламування викрадених хешів паролів (T1110.002) інструментами на кшталт Hashcat або John the Ripper. Правила мутації додають цифри, великі літери й заміни символів («P@ssw0rd2024»), а відеокарти перевіряють мільярди варіантів за секунду проти швидких хешів.
Чому це важливо
Люди обирають передбачувані паролі й використовують їх повторно, тому словники дають змогу зламати значну частку реальних облікових записів. Підібрані паролі потім ідуть у підстановку облікових даних на інших сервісах. Заздалегідь обчислені райдужні таблиці ще більше пришвидшують атаки на хеші без солі.
Як захиститися
- Блокувати поширені паролі й паролі з витоків під час реєстрації, як рекомендує NIST SP 800-63B, і заохочувати довгі парольні фрази.
- Зберігати паролі за допомогою повільних алгоритмів bcrypt, scrypt чи Argon2 і унікальної солі.
- Обмежувати частоту спроб входу, відстежувати їх і блокувати або додатково перевіряти підозрілі джерела.
- Увімкнути багатофакторну автентифікацію й користуватися менеджером паролів.
